安全管理标准体系建设专项方案.doc

安全管理体系建设方案

沈阳赛宝科技服务有限公
7月19日
目 录
1 概述 1
1.1 简介 1
1.2 目的 1
2 安全管理体系框架图 2
3 安全管理制度体系 2
3.1 安全方针政策 2
3.2 安全管理制度 2
3.3 技术原则、规范 3
3.4 流程、表单及记录 4

1 概述
1.1 简介
安全管理体系建设包括：安全管理制度、安全管理机构、人员安全管理、系统建设安全管理和系统运维安全管理等各个方面，根据有关安全准则，结合公司自身及网络系统构成特点，拟定详细各方面制度。
1.2 目的
安全管理机构：涉及职能部门岗位设立；系统管理员、网络管理员、安全管理员人员配备；授权和审批；管理人员、内部机构和职能部门间沟通和合伙；定期安全审核和安全检查。
安全管理制度：涉及安全方略、安全制度、操作规程等管理制度；管理制度制定和发布；管理制度评审和修订。
人员安全管理：涉及人员录取；人员离岗；人员考核；安全意识教诲和培训；外部人员访问管理。
系统建设管理：涉及系统定级；安全方案设计；产品采购和使用；自行软件开发；外包软件开发；工程实行；测实验收；系统交付；系统备案；级别测评；安全服务商选取。
系统运维管理：涉及机房环境管理；信息资产管理；介质管理；设备管理；监控管理和安全管理中心；网络安全管理；系统安全管理；恶意代码防范管理；密码管理；变更管理；备份与恢复管理；安全事件处置；应急预案管理。

2 安全管理体系框架图
安全管理制度体系层次图：

3 安全管理制度体系
3.1 安全方针政策
最高方针，大纲性安全方略主文档，陈述本方略目、合用范畴、信息安全管理意图、支持目的以及指引原则，信息安全各个方面所应遵守原则办法和指引性方略。
3.2 安全管理制度
各类管理规定、管理办法和暂行规定。从安全方略主文档中规定安全各个方面所应遵守原则办法和指引性方略引出详细管理规定、管理办法和实行办法，是必要具备可操作性，并且必要得到有效履行和实行。
安全管理制度规定见下图，在建立制度时候可以参照：

3.3 技术原则、规范
技术原则和规范是针对详细管理行为进行规范化操作流程规定，涉及各个安全级别区域网络设备、主机操作系统和重要应用程序应遵守安全配备和管理技术原则和规范。技术原则和规范将作为各个网络设备、主机操作系统和应用程序安装、配备、采购、项目评审、寻常安全管理和维护时必要遵循原则，不容许发生违背和冲突。
例如制度及规范类文档如下：
表1管理制度及规范文档
序号
管理制度及规范文档
1
机构总体安全方针和政策方面管理制度
2
安全管理活动中各类管理内容有关管理制度
3
部门设立、岗位设立及工作职责定义方面管理制度
4
授权审批、审批流程等方面管理制度
5
与外联单位、供应商等合伙有关管理制度
6
安全审核和安全检查方面管理制度
7
管理制度、操作规程修订、维护方面管理制度
8
人员录取、离岗、考核等方面管理制度
9
人员安全教诲和培训方面管理制度
10
人员订立保密合同有关管理制度
11
第三方人员访问控制方面管理制度
12
工程实行过程方面管理制度
13
安全方案设计有关管理制度
14
产品选型、采购方面管理制度
15
软件外包开发或自我开发方面管理制度
16
测试、验收方面管理制度
17
系统交付有关管理制度
18
机房安全管理方面管理制度
19
办公环境安全管理方面管理制度
20
资产、设备、介质安全管理方面管理制度
21
信息分类、标记、发布、使用方面管理制度
22
配套设施、软硬件维护方面管理制度
23
网络安全管理（网络配备、账号管理等）方面管理制度
24
系统安全管理（系统配备、账号管理）方面管理制度
25
系统监控、风险评估、漏洞扫描方面管理制度
26
病毒防范方面管理制度
27
系统变更控制方面管理制度
28
密码管理方面管理制度
29
备份和恢复方面管理制度
30
安全事件报告和处置方面管理制度
31
应急响应办法、应急响应筹划等方面文献
32
其她文档

3.4 流程、表单及记录
安全流程和操作规程，详细规定重要业务应用和事件解决流程、环节和有关注意事项。作为详细工作时详细依照，此某些必要具备可操作性，并且必要得到有效履行和实行。
安全表单及记录，贯彻安全流程和操作规程详细体现，依照不同信息系统规定可以通过不同方式表单及记录贯彻，并在寻常工作中详细执行。重要涉及寻常操作记录、工作记录、流转记录以及审批记录等。可分为记录类文档和证据类文档如下表：
表2 记录类文档
序号
记录类文档
1
机房出入登记记录（涉及第三方人员）
2
机房基本设施维护记录
3
各类会议纪要或记录（部门内、部门间协调会、领导小组）
4
各类评审和修订记录（安全管理制度评审和修订记录、体系评审记录等）
5
人员考核、审查、培训记录（人员录取、人员定期考核）、离岗手续
6
人员安全教诲有关记录
7
各项审批和批准执行记录（来访人员进入机房审批、介质/设备外带审批、系统外联审批等）
8
安全管理制度收发登记记录
9
产品选型测试成果记录
10
系统验收测试记录、报告
11
介质归档、查询等登记记录
12
主机系统、网络、安全设备等操作日记和维护记录
13
机房寻常巡检记录
14
对主机、网络设备和应用软件等监控记录和分析报告
15
恶意代码检测、升级记录和分析报告
16
备份过程记录
17
变更方案评审记录和变更过程记录
18
安全事件解决过程记录
19
应急预案培训、演习、审查记录
20
其她记录文档
21
机房防雷检测报告
22
设备外出维修记录
23
外来人员审批记录
24
其她文档

表3证据类文档
序号
证据类文档
1
资产清单
2
机构安全管理人员岗位名单
3
外联单位联系列表
4
人员保密合同
5
核心岗位安全合同
6
候选产品名单
7
信息系统定级报告或定级建议书
8
系统备案材料
9
近期和远期安全建设工作筹划、总体建设规划书

表3 证据类文档（续）
序号
证据类文档
1
详细设计方案
2
系统建设项目
工程实行方案
3
系统验收测试方案
4
系统测试、验收报告
5
系统交付清单
6
变更方案
7
变更申请书
8
信息系统定期安全检测检查表和安全检查报告
9
重要设备漏洞扫描报告
10
系统异常行为审计分析报告
11
机房安全设计和验收方面文档
12
应急预案管理
应急预案方案
应急预案培训
应急预案演习
13
总体安全方略等配套文献专家论证文档
14
与安全服务商或外包开发商订立服务合同和安全合同
15
软件开发设计和顾客指南等有关文档（目录体系框架或互换原形系统）、软件测试报告